第二章个人信息处理规则 第一节 一般规定 第十三条 符合下列情形之一的,个人信息处理者方可处理 个人信息: (一)取得个人的同意; (二)为订立或者履行个人作为一方当事人的合同所必需; (三)为履行法定职责或者法定义务所必需; (四)为应对突发公共卫生事件,或者紧急情况下为保护自 然人的生命健康和财产安全所必需; (五)为公共利益实施新闻报道、舆论监督等行为在合理的 范围内处理个人信息; (六)法律、行政法规规定的其他情形。 第十四条 处理个人信息的同意,应当由个人在充分知情的 前提下,自愿、明确作出意思表示。法律、行政法规规定处理个 人信息应当取得个人单独同意或者书面同意的,从其规定。 个人信息的处理目的、处理方式和处理的个人信息种类发生 变更的,应当重新取得个人同意。 第十五条 个人信息处理者知道或者应当知道其处理的个人 信息为不满十四周岁未成年人个人信息的,应当取得其监护人的 同意。 第十六条 基于个人同意而进行的个人信息处理活动,个人 有权撤回其同意。 第十七条 个人信息处理者不得以个人不同意处理其个人信 息或者撤回其对个人信息处理的同意为由,拒绝提供产品或者服 务;处理个人信息属于提供产品或者服务所必需的除外。 第十八条 个人信息处理者在处理个人信息前,应当以显著 方式、清晰易懂的语言向个人告知下列事项:
(一)个人信息处理者的身份和联系方式; (二)个人信息的处理目的、处理方式,处理的个人信息种 类、保存期限; (三)个人行使本法规定权利的方式和程序; (四)法律、行政法规规定应当告知的其他事项。 前款规定事项发生变更的,应当将变更部分告知个人。 个人信息处理者通过制定个人信息处理规则的方式告知第一 款规定事项的,处理规则应当公开,并且便于查阅和保存。
第十九条 个人信息处理者处理个人信息,有法律、行政法 规规定应当保密或者不需要告知的情形的,可以不向个人告知前 条规定的事项。 紧急情况下为保护自然人的生命健康和财产安全无法及时向 个人告知的,个人信息处理者应当在紧急情况消除后予以告知。
第二十条 个人信息的保存期限应当为实现处理目的所必要 的最短时间。法律、行政法规对个人信息的保存期限另有规定 的,从其规定。
第二十一条 两个或者两个以上的个人信息处理者共同决定 个人信息的处理目的和处理方式的,应当约定各自的权利和义 务。但是,该约定不影响个人向其中任何一个个人信息处理者要 求行使本法规定的权利。 个人信息处理者共同处理个人信息,侵害个人信息权益的, 依法承担连带责任。
第二十二条 个人信息处理者委托处理个人信息的,应当与 受托方约定委托处理的目的、处理方式、个人信息的种类、保护 措施以及双方的权利和义务等,并对受托方的个人信息处理活动 进行监督。 受托方应当按照约定处理个人信息,不得超出约定的处理目 的、处理方式等处理个人信息,并应当在合同履行完毕或者委托 关系解除后,将个人信息返还个人信息处理者或者予以删除。 未经个人信息处理者同意,受托方不得转委托他人处理个人 信息。
第二十三条 个人信息处理者因合并、分立等原因需要转移 个人信息的,应当向个人告知接收方的身份、联系方式。接收方 应当继续履行个人信息处理者的义务。接收方变更原先的处理目 的、处理方式的,应当依照本法规定重新向个人告知并取得其同 意。
第二十四条 个人信息处理者向第三方提供其处理的个人信 息的,应当向个人告知第三方的身份、联系方式、处理目的、处 理方式和个人信息的种类,并取得个人的单独同意。接收个人信 息的第三方应当在上述处理目的、处理方式和个人信息的种类等 范围内处理个人信息。第三方变更原先的处理目的、处理方式 的,应当依照本法规定重新向个人告知并取得其同意。 个人信息处理者向第三方提供匿名化信息的,第三方不得利 用技术等手段重新识别个人身份。
第二十五条 利用个人信息进行自动化决策,应当保证决策 的透明度和处理结果的公平合理。个人认为自动化决策对其权益 造成重大影响的,有权要求个人信息处理者予以说明,并有权拒 绝个人信息处理者仅通过自动化决策的方式作出决定。 通过自动化决策方式进行商业营销、信息推送,应当同时提 供不针对其个人特征的选项。
第二十六条 个人信息处理者不得公开其处理的个人信息; 取得个人单独同意或者法律、行政法规另有规定的除外。
第二十七条 在公共场所安装图像采集、个人身份识别设 备,应当为维护公共安全所必需,遵守国家有关规定,并设置显 著的提示标识。所收集的个人图像、个人身份特征信息只能用于 维护公共安全的目的,不得公开或者向他人提供;取得个人单独 同意或者法律、行政法规另有规定的除外。
第二十八条 个人信息处理者处理已公开的个人信息,应当 符合该个人信息被公开时的用途;超出与该用途相关的合理范围 的,应当依照本法规定向个人告知并取得其同意。 个人信息被公开时的用途不明确的,个人信息处理者应当合 理、谨慎地处理已公开的个人信息;利用已公开的个人信息从事 对个人有重大影响的活动,应当依照本法规定向个人告知并取得 其同意。
|